Трек security рекомендуется к ознакомлению. Другие треки тоже довольно крепкие по содержанию и применимости.

Выложили доклады с DevOops 2023

Я отмечу два плейлиста

Kubernetes
https://www.youtube.com/playlist?list=PL-ety8gh7rTpXuTD5IfFgQp3xScreYqXT

Security
https://www.youtube.com/playlist?list=PL-ety8gh7rTr3XxYqBadi5s6YOlMqLjlH

Программа
https://devoops.ru/archive/2023/schedule/days/

https://blog.cloudflare.com/expanding-our-support-for-oss-projects-with-project-alexandria/
Cloudflare предлагает опенсорс проектам в зависимости от их потребностей свои услуги бесплатно.

Опубликовано в открытом доступе средство для оценки бесплатных правил для SIEM - sigma. Это полезно так даже эти бесплатные правила нужно приводить в формат вашего siem.

https://github.com/runreveal/sigmalite

Первая часть вебинара рекомендуется к просмотру. Вторая по сути обзор продукта Luntry.

На нашем сайте стали доступны слайды и видеозапись вебинара "С чего начать защиту кластера Kubernetes?". Там мы постарались ответить на вопросы:
— Какие минимально-необходимые меры принимать для защиты кластера в моменте;
— Как постепенно наращивать уровень безопасности;
— Какие минимальные действия и вложения могут дать наибольший результат;
— Как не пропасть в рутине исправления множества уязвимостей.

При этом мы достаточно подробно рассмотрели с чего стоит начать в каждом из 7 доменов безопасности Kubernetes в самом начале пути (и немного последующие шаги). Как мы уже говорили на самом вебинаре какой из доменов начинать делать первым зависит от рассматриваемой вашей компании модели угроз, модели нарушителе и поверхности атаки. Это каждый раз уникально и зависит от целей и задачей того или иного кластера. Одно дело это кластер с приложениями, смотрящими в сеть интернет, другое дело build кластера, ML-кластера, кластера в закрытом контуре и т.д.

И как всегда в комментариях будем рады ответить на любые вопросе по данной теме.

P.S. Спасибо всем кто пришел и задавал вопросы!

https://csrc.nist.gov/pubs/ir/8505/final
Хороший документ для начала погружения в вопросы безопасности в WebAssembly.

WASM претендует на следующий эволюционный шаг в разработке. Грубо говоря это формат упаковки запускаемых файлов позволяющий запускать приложение написанное на разных языках(C++, go, rust, python) на разных платформах (Win/Nix/macos), архитектурах (x86/arm) и браузерах.

https://blog.pcisecuritystandards.org/request-for-comments-pci-pts-poi-modular-security-requirements-v7-0-october

"The updates in the RFC include more than 30 requirement changes and 14 pieces of additional guidance. Some of these changes designed to address industry needs include:

Adding a requirement for the physical/logical security of biometric interfaces.
Adding a requirement to allow the use of third-party applications (e.g., Play store).
Defining that cryptographic keys used for device security must provide a minimum of 128 bits of effective strength. "

В ЕС и США/Канаде начался ежегодный месячник повышения осведомленности в вопросах информационной безопасности.

Японский вариант поиска шифровальщиков в логах Windows.

https://blogs.jpcert.or.jp/en/2024/09/windows.html

https://www.trendmicro.com/en_us/research/24/i/world-tour-2024-survey.html

Статистика по итогам опросов 750 CISO в 49 странах.

https://security.googleblog.com/2024/09/eliminating-memory-safety-vulnerabilities-Android.html
Статья в блоге Гугл про важность использования языков безопасно работающих с памятью (Go, Rust, Swift).
Выглядит немного неоднозначно, вместо реальной статистики эффективности приводятся математические прогнозы в годах от старта проекта, заявления о приверженности подхода и финансирования языка Rust. Приводятся цифры уменьшения общей доли уязвимостией с памятью с 76% до 24% с 2019 года, но без указания общего количества строк кода и распределения по другим типам уязвимостей.

Но требования американского регулятора есть, в ядре Win 11 со слов MS тоже теперь активно использутся Rust. При этом проект по переходу ядра Linux на Rust недавно покинул один из ведущих разработчиков Wedson Almeida Filho с критикой общей результативности проекта. Сам Линус Торвальдс тоже недоволен скорость перехода ядра на Rust.

Очевидно процесс перехода на новые безопасные языки затягивается. Вплоть до того, что регуляторы в США рассматривают возможность переписывать код с С/C++ на Rust с активным решением инструментов ИИ/GPT.